01-01 配置ACL

Size: px

Start display at page:

Download "01-01 配置ACL"

矫欺戴
5 years ago
Views:

1 配置指南安全防范分册目录目录 1 配置 ACL 简介 ACL 概述 ACL 规则的匹配顺序配置 ACL 建立配置任务 ( 可选 ) 定义时间段 ( 可选 ) 定义地址集 ( 可选 ) 定义端口集 ( 可选 ) 启用 ACL 加速查找功能创建基本 ACL 创建高级 ACL 创建基于 MAC 地址的 ACL 检查配置结果维护配置举例 i

2 配置指南安全防范分册插图目录插图目录图 1-1 ACL 配置案例组网图 iii

3 配置指南安全防范分册 1 配置 ACL 1 配置 ACL 关于本章本章描述内容如下表所示标题内容 1.1 简介介绍 ACL 的概念匹配顺序和编辑方法 1.2 配置 ACL 介绍 ACL 的配置方法 1.3 维护介绍清除 ACL 访问规则计数器的方法 1.4 配置举例介绍 ACL 的组网举例 1-1

4 1 配置 ACL Quidway Eudemon 100E/200/200S 配置指南安全防范分册 1.1 简介 ACL 概述 ACL(Access Control List), 能够通过报文的源地址目的地址端口号上层协议等信息组合定义网络中的数据流, 是包过滤 NAT IPSec QoS 策略路由等应用的基础防火墙通过数字定义和引用 ACL Eudemon 100E/200/200S 上的 ACL 分为三类, 如表 1-1 所示表 1-1 ACL 的分类 ACL 类型基本 ACL 高级 ACL 基于 MAC 地址的 ACL 组号范围 2000~ ~ ~4099 三类 ACL 定义的数据流区别如下 : 基本 ACL 仅使用源地址定义数据流高级 ACL 可以使用源地址目的地址源端口号目的端口号上层协议号等多种元素组合定义数据流基于 MAC 地址的 ACL 能够根据以太网帧头中的源 MAC 地址目的 MAC 地址类型字段等信息定义数据流, 从而达到控制二层数据帧的目的传统的 ACL 规则是直接通过 rule-id 协议号源地址目的地址源端口号目的端口号等定义的例如 : [Eudemon-acl-adv-3000] rule 0 permit tcp source destination source-port gt 12 destination-port gt 12 [Eudemon-acl-adv-3000] rule 1 deny udp source destination source-port range destination-port range ACL 规则的元素大都是数字型的, 配置和维护时容易出错当优化网络时, 可能需要修改统一安全网关上的 ACL 规则当 ACL 规则的数量较多时, 网络维护的工作量也随之增多可以用简单直观的名称定义存在某种共性的地址集和端口集, 应用于 ACL 规则修改 ACL 时, 只修改所引用的地址集和端口集, 不考虑地址端口协议等的一一对应这种方式便于 ACL 的编辑记忆和管理, 提高网络维护的准确性和效率 ACL 规则的匹配顺序一个 ACL 组可以由多条 permit 或 deny 语句组成一台防火墙可以包含多个 ACL 组 1-2

5 配置指南安全防范分册 1 配置 ACL 一个报文匹配 ACL 规则时遵循如下原则 : 按照配置顺序匹配即按照用户配置 ACL 规则的先后顺序进行匹配按照自动排序匹配即按照深度优先原则进行匹配深度优先原则是把指定数据流范围最小的语句排在最前面, 可以通过比较地址的通配符来实现通配符越小, 则指定的主机的范围就越小例如, 指定了一台主机 , 而则指定了一个网段 ~ , 显然前者由于指定的主机范围较小而使报文匹配过程中将被优先命中具体标准为 : 对于基本 ACL, 直接比较源地址通配符, 相同则按配置顺序匹配对于高级 ACL, 首先比较源地址通配符, 相同则再比较目的地址通配符, 仍相同则再比较端口范围, 范围小的排在前面, 如果端口号范围也相同则按配置顺序排序数据流一旦与一条 ACL 规则匹配成功, 将不再继续向下匹配防火墙将根据该 ACL 规则的动作, 对数据流进行后续操作 1.2 配置 ACL 建立配置任务应用环境前置任务在配置包过滤 NAT IPSec QoS 策略路由等功能前, 需要使用 ACL 定义数据流 : 当需要定义一个由报文源地址确定的数据流时, 可配置基本 ACL 当需要定义一个由报文源地址信息目的地址信息 IP 承载的协议类型等消息确定的数据流时, 可配置高级 ACL 当防火墙工作于透明模式下, 且需要定义一条由以太网帧头中的源 MAC 地址目的 MAC 地址类型字段等信息确定的数据流时, 可配置基于 MAC 地址的 ACL 为方便用户管理规则, 尤其在规则复杂规则个数很多的场合下, 为用户提供一种直观简便的地址范围和端口范围, 可配置端口集和地址集在配置 ACL 前, 需要完成以下任务 : ( 可选 ) 配置防火墙的工作模式 ( 可选 ) 配置接口的 IP 地址配置接口加入安全区域不能配置工作于透明模式下的接口的 IP 地址 1-3

6 1 配置 ACL Quidway Eudemon 100E/200/200S 配置指南安全防范分册数据准备在配置基本 ACL 前, 需要准备以下数据序号数据 1 ACL 组号 2 ( 可选 )ACL 规则组的步长 3 ACL 规则号 4 数据流的过滤动作 5 源地址及其掩码 6 ( 可选 )ACL 规则组的描述信息在配置高级 ACL 前, 需要准备以下数据序号数据 1 ACL 组号 2 ( 可选 )ACL 规则组的步长 3 ACL 规则号 4 数据流的过滤动作 5 ( 可选 ) 源地址及其掩码 6 IP 承载的协议名称或协议号 7 ( 可选 ) 目的地址及其掩码 8 ( 可选 ) 源端口号的范围 9 目的端口号的范围 10 ( 可选 )ICMP 报文的类型和消息码 11 ( 可选 ) 数据包的优先过滤级别 12 ( 可选 ) 数据包的优先过滤服务字段 13 ( 可选 )ACL 规则组的描述信息在配置基于 MAC 地址的 ACL 前, 需要准备以下数据序号数据 1 ACL 组号 1-4

7 配置指南安全防范分册 1 配置 ACL 序号数据 2 ( 可选 )ACL 规则组的步长 3 ACL 规则号 4 数据流的过滤动作 5 ( 可选 )ACL 规则组的描述信息 6 传输报文的协议类型 7 接口上报文的封装格式 8 数据帧的源 MAC 地址 9 数据帧的目的 MAC 地址在配置基于时间段的 ACL 前, 需要在准备配置 ACL 数据的基础上准备以下数据序号数据 1 时间段名称 2 时间段的开始时间 3 时间段的结束时间 4 时间段的有效天 ( 例如星期一有效 ) 5 时间段的开始日期 6 时间段的结束日期在配置带有地址集和端口集的 ACL 前, 需要在准备配置 ACL 数据的基础上准备以下数据序号数据 1 地址集名称 2 地址元素 ID 3 地址元素的 IP 地址和掩码 4 端口集名称 5 端口元素 ID 6 端口号 1-5

8 1 配置 ACL Quidway Eudemon 100E/200/200S 配置指南安全防范分册配置过程要完成 ACL 的配置, 需要按照以下过程配置序号过程 1 ( 可选 ) 定义时间段 2 ( 可选 ) 定义地址集 3 ( 可选 ) 定义端口集 4 ( 可选 ) 启用 ACL 加速查找功能 5 创建基本 ACL 6 创建高级 ACL 7 创建基于 MAC 地址的 ACL 8 检查配置结果 ( 可选 ) 定义时间段请根据实际组网需要选择创建基本 ACL 高级 ACL 或基于 MAC 地址的 ACL 如果需要配置基于时间段的 ACL, 请首先定义时间段如果需要加速 ACL 查找速度, 请首先启用 ACL 加速查找功能当需要定义数目很多的 rule 规则时, 建议配置带有地址集和端口集的 ACL, 以减少网络维护的工作量某些情况下, 系统管理员只想在特定时间段允许某些数据流通过, 或只允许某些用户在一天的特定时间段访问资源此时即可使用基于时间段的 ACL 规则步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 time-range time-name { start-time to end-time days from time1 date1 [ to time2 date2 ] }, 定义时间段时间段的确定有如下两种方法 : 时间段的开始时间结束时间与有效天三个数据确定一个时间段时间段的开始时间开始日期结束时间与结束日期四个数据确定一个时间段 ( 可选 ) 定义地址集步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 ip address-set address-set-name, 创建地址集并进入地址集视图 1-6

9 配置指南安全防范分册 1 配置 ACL 步骤 3 执行命令 address [ address-id ] ip-address wildcard [ description ], 向地址集中添加地址元素可以多次使用 address 命令, 向地址集中添加不冲突的地址元素一个地址集最多可以配置 256 个地址元素 ( 可选 ) 定义端口集步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 ip port-set port-set-name protocol { tcp udp }, 创建端口集, 并进入端口集视图步骤 3 执行下列命令之一向接端口集中添加端口元素 : port [ port-id ] { eq gt lt } port-number1 port [ port-id ] range port-number1 port-number2 可以多次使用 port 命令, 向端口集中添加不冲突的端口元素一个端口集最多可以配置 64 个端口元素 ( 可选 ) 启用 ACL 加速查找功能启用 ACL 加速查找功能后如果出现如下两种提示, 请取消 ACL 加速查找功能 : Current free memory is low, we suggested that accelerate acl is not adopted! %10/29/2007 8:46:53-MEM-5-WARNING: ALERT: memory exhausted!! GATE1 detected! Total: bytes Free: bytes 步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 acl accelerate enable, 使能 ACL 加速查找功能 1-7

10 1 配置 ACL Quidway Eudemon 100E/200/200S 配置指南安全防范分册创建基本 ACL 基于 MAC 地址的 ACL 不支持加速查找功能如果实际 rule 数超过规格, 则不能启用 ACL 加速功能步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 acl [ number ] acl-number [ match-order { config auto } ], 创建基本 ACL, 并进入相应视图步骤 3 ( 可选 ) 执行命令 step step-value, 配置 ACL 规则组的步长在配置 ACL 组的步长时, 需要遵循如下原则 : 仅在未配置 ACL 规则时允许配置步长配置 ACL 规则后, 如果需要更改步长, 需要先使用 undo rule 命令删除已经存在的 ACL 规则步骤 4 执行命令 rule [ rule-id ] { permit deny } [ source { source-address source-wildcard address-set address-set-name any } time-range time-name logging ] *, 配置基本 ACL 规则如果步骤 2 选择了 auto 匹配方式, 则步骤 4 不能引用地址集步骤 5 ( 可选 ) 执行命令 description text, 配置 ACL 描述信息创建高级 ACL 步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 acl [ number ] acl-number [ match-order { config auto } ], 创建高级 ACL, 并进入相应视图步骤 3 ( 可选 ) 执行命令 step step-value, 配置 ACL 规则组的步长在配置 ACL 组的步长时, 需要遵循如下原则 : 仅在未配置 ACL 规则时允许配置步长配置 ACL 规则后, 如果需要更改步长, 需要先使用 undo rule 命令删除已经存在的 ACL 规则步骤 4 执行命令 rule [ rule-id ] { permit deny } protocol [ source { source-address source-wildcard address-set address-set-name any } destination { destination-address destination-wildcard address-set address-set-name any } source-port { operator port range port1 port2 port-set port-set-name } destination-port { operator port range port1 port2 port-set port-set-name } icmp-type { icmp-type icmp-code icmp-message } precedence precedence tos tos time-range time-name logging ] * 配置高级 ACL 规则如果步骤 2 选择了 auto 匹配方式, 则步骤 4 不能引用地址集和端口集 1-8

11 配置指南安全防范分册 1 配置 ACL 步骤 5 ( 可选 ) 执行命令 description text, 配置 ACL 描述信息创建基于 MAC 地址的 ACL 步骤 1 执行命令 system-view, 进入系统视图步骤 2 执行命令 firewall mode transparent, 配置防火墙工作于透明模式修改 Eudemon 工作模式后, 需要重新启动 Eudemon, 工作模式变更才会生效请重新启动 Eudemon, 再做后续配置步骤 3 执行命令 acl [ number ] acl-number, 创建基于 MAC 地址的 ACL, 并进入相应视图步骤 4 ( 可选 ) 执行命令 step step-value, 配置 ACL 规则组的步长在配置 ACL 组的步长时, 需要遵循如下原则 : 仅在未配置 ACL 规则时允许配置步长配置 ACL 规则后, 如果需要更改步长, 需要先使用 undo rule 命令删除已经存在的 ACL 规则步骤 5 执行命令 rule [ rule-id ] { permit deny } [ type type-code type-wildcard lsap lsap-code lsap-wildcard ] [ source-mac source-address source-mac-wildcard ] [ dest-mac destination-address destination-mac-wildcard ] 配置基于 MAC 地址的 ACL 规则步骤 6 ( 可选 ) 执行命令 description text, 配置 ACL 描述信息检查配置结果可以在所有视图下执行以下命令检查配置结果操作命令查看配置的 ACL display acl { all acl-number } 查看时间段 display time-range { all time-name } 查看地址集 display ip address-set { verbose address-set-name { item reference } all } 查看端口集 display ip port-set { verbose port-set-name { item reference } all } 1-9

12 1 配置 ACL Quidway Eudemon 100E/200/200S 配置指南安全防范分册操作命令显示 ACL 加速查找状态 display acl accelerate [ acl-number ] 1.3 维护在确认需要清除 ACL 访问规则计数器后, 即可在用户视图下执行以下命令操作命令清除 ACL 访问规则计数器 reset acl counter { all acl-number } 1.4 配置举例组网需求如图 1-1 所示, 某公司的网络出口布置一台 Eudemon 防火墙其中 : Eudemon 防火墙的 Ethernet 0/0/0 接口连接 Internet Ethernet 0/0/1 接口连接该公司的内部网络公司对外提供 WWW FTP 和 Telnet 服务, 内部网络的网段为 /24 其中: 内部 FTP 服务器地址为 /24 内部 Telnet 服务器地址为 /24 内部 WWW 服务器地址为 /24 通过配置防火墙, 实现以下要求 : 需求 1 外部网络中, 只有特定用户可以访问内部服务器需求 2 内部网络中, 只有特定主机可以访问外部网络假定外部特定用户的 IP 地址为 /

13 配置指南安全防范分册 1 配置 ACL 组网图图 1-1 ACL 配置案例组网图 FTP 服务器 /24 WWW 服务器 /24 内部网络 Eth0/0/ /24 Telnet 服务器 /24 Eudemon Eth0/0/ /8 外部用户 PC /16 Router 配置步骤步骤 1 完成防火墙基本配置 # 进入系统视图 <Eudemon> system-view # 进入 Ethernet 0/0/0 视图 [Eudemon] interface Ethernet 0/0/0 # 配置 Ethernet 0/0/0 的 IP 地址 [Eudemon-Ethernet0/0/0] ip address [Eudemon-Ethernet0/0/0] quit # 进入 Ethernet 0/0/1 视图 [Eudemon] interface Ethernet 0/0/1 # 配置 Ethernet 0/0/1 的 IP 地址 [Eudemon-Ethernet0/0/1] ip address [Eudemon-Ethernet0/0/1] quit # 进入 Untrust 区域视图 [Eudemon] firewall zone untrust 1-11

14 1 配置 ACL Quidway Eudemon 100E/200/200S 配置指南安全防范分册 # 配置 Ethernet 0/0/0 加入 Untrust 区域 [Eudemon-zone-untrust] add interface Ethernet 0/0/0 [Eudemon-zone-untrust] quit # 进入 DMZ 区域视图 [Eudemon] firewall zone dmz # 配置 Ethernet 0/0/1 加入 DMZ 区域 [Eudemon-zone-dmz] add interface Ethernet 0/0/1 [Eudemon-zone-dmz] quit # 配置到达网段的下一跳 IP 地址 [Eudemon] ip route-static 为 Eudemon 的下一跳路由器的 IP 地址当目的网络与防火墙间存在网元设备时, 需要配置静态路由否则从防火墙发往网段的报文由于查不到下一跳地址而被丢弃需要配置外部特定 PC 和 Router 的静态路由此处不赘述步骤 2 完成需求 1 的配置 # 配置地址集, 包括内部服务器地址 [Eudemon] ip address-set server [Eudemon-address-set-server] description server [Eudemon-address-set-server] address [Eudemon-address-set-server] address [Eudemon-address-set-server] address [Eudemon-address-set-server] quit # 配置 ACL, 允许外部特定用户访问内部服务器 [Eudemon] acl 3101 [Eudemon-acl-adv-3101] rule permit tcp source destination address-set server [Eudemon-acl-adv-3101] quit # 进入 Untrust 和 DMZ 域间视图 1-12

15 配置指南安全防范分册 1 配置 ACL [Eudemon] firewall interzone untrust dmz # 配置域间包过滤规则 [Eudemon-interzone-dmz-untrust] packet-filter 3101 inbound # 配置域间应用 ASPF [Eudemon-interzone-dmz-untrust] detect ftp 需要使用上述 detect 命令, 配置防火墙在域间应用 ASPF 功能否则,FTP 服务不可用 [Eudemon-interzone-dmz-untrust] quit 步骤 3 完成需求 2 的配置 # 配置地址集, 包括内部主机地址 [Eudemon] ip address-set host [Eudemon-address-set-host] description host [Eudemon-address-set-host] address [Eudemon-address-set-host] address [Eudemon-address-set-host] quit # 配置 ACL, 允许内部特定服务器访问外部网络 [Eudemon] acl number 3102 [Eudemon-acl-adv-3102] rule permit ip source address-set host [Eudemon-acl-adv-3102] quit # 进入 DMZ 和 Untrust 域间视图 [Eudemon] firewall interzone dmz untrust # 配置域间包过滤规则 [Eudemon-interzone-dmz-untrust] packet-filter 3102 outbound 1-13

01-13 配置IM阻断

01-13 配置IM阻断配置指南安全防范分册目录目录 13 配置 IM 阻断...13-1 13.1 简介...13-2 13.2 配置 IM 阻断...13-2 13.2.1 建立配置任务...13-2 13.2.2 激活模式文件...13-3 13.2.3 配置需要阻断的 IM 协议...13-3 13.2.4 配置 ACL 设定 IM 阻断策略...13-4 13.2.5 配置 IM 阻断策略应用到域间...13-4